F-Secure opozarja na digitalno odvisnost od ZDA

Predstavljajte si uslužbenko v bolnišnici, ki v ponedeljek zjutraj pride v službo. Stavba deluje, omrežni kabli so na mestu, strežniki v kleti brnijo. Toda prijavni zaslon zavrne njeno geslo. Ne zaradi hekerskega napada ali izpada elektrike, temveč zato, ker je ameriško podjetje, ki upravlja bolnišnični sistem za preverjanje identitete, spremenilo pogoje dostopa. Kartoteke bolnikov so fizično nekaj metrov stran, a jih ne more odpreti.

Tako je videti digitalna odvisnost v praksi. Ne kot prerezani kabli ali goreči podatkovni centri, temveč kot najemodajalec, ki čez noč zamenja kodo za vrata. Ko je glavni izvršni direktor finskega podjetja F-Secure Timo Laaksonen ta mesec opozoril, da je Evropa močno odvisna od kritičnih storitev pod ameriškim nadzorom, je govoril prav o tej tihi strukturni ranljivosti (Yle).

Koda za vrata ni v Evropi

Da bi razumeli, kje nastane ranljivost, je treba pogledati, kaj se zgodi, še preden bolnišnična uslužbenka odpre elektronsko pošto.

Najprej vpiše prijavne podatke v sistem za preverjanje identitete. Številne evropske organizacije uporabljajo identitetne storitve, ki jih upravljajo ameriška podjetja; najpogostejša je Microsoftova Entra ID. Če tak ponudnik odpove ali prekine dostop, postanejo hkrati nedosegljive vse aplikacije, ki stojijo za tem preverjanjem (Hypergate). Ena zaklenjena vrata, za njimi pa desetine prostorov.

Druga raven je upravljavska konzola za oblačno infrastrukturo: nadzorna plošča, prek katere informacijske službe ustvarjajo strežnike, upravljajo podatkovne zbirke in skrbijo za digitalne ključe, ki varujejo občutljive podatke. Bolnišnični zapisi so lahko fizično shranjeni na strežniku v Frankfurtu. Če pa nadzorno ploščo, obračunski račun in digitalne ključe upravlja ameriška matična družba, izraz »gostovano v Evropi« še ne pomeni »pod evropskim nadzorom« (JRC).

Enak vzorec se ponavlja pri elektronski pošti, hrambi dokumentov, posodobitvah programske opreme in celo pri sistemu DNS, internetnem imeniku, ki brskalnikom pove, kje naj najdejo spletne strani. Nemška raziskava je pokazala, da je približno 96 odstotkov nemških podjetij odvisnih od uvoženih digitalnih tehnologij, ameriški ponudniki oblačnih storitev pa imajo več kot 70 odstotkov evropskega trga (egovernment.de).

Ko se je ključavnica dejansko obrnila

Trije nedavni primeri kažejo, da ne gre za hipotetično tveganje.

Podjetje Anthropic, razvijalec umetne inteligence, je nekaterim uporabnikom prekinilo dostop do svojih najnovejših modelov, da bi upoštevalo ameriški režim izvoznega nadzora. Nihče ni izključil strežnika. Pravna odločitev je bila dovolj, da je digitalna zmogljivost izginila z določenih zaslonov (AP, Reuters).

Na Nizozemskem je sodišče ameriškemu podjetju Kyndryl preprečilo prevzem družbe Solvinity, ki gosti DigiD, sistem digitalne identitete, s katerim nizozemski državljani urejajo davčne in zdravstvene storitve. Razlog je bil pravni: po ameriški zakonodaji, zlasti po CLOUD Actu in FISA, lahko ameriške oblasti podjetja v ameriški lasti prisilijo k izročitvi podatkov ne glede na to, kje so ti shranjeni. Nacionalni sistem digitalne identitete ne more biti pod takšnim pravnim režimom (Ius Mentis).

V Franciji je preiskava narodne skupščine pokazala, da gre približno 80 odstotkov javnih nakupov programske opreme prek ameriških akterjev, v vrednosti okoli 1,5 milijarde evrov na leto. Ministrstva, energetski operaterji in prometna omrežja so tako odvisni od dobaviteljev, ki bi lahko vsaj teoretično omejili dostop pod političnim ali pravnim pritiskom (Banque des Territoires, Clubic).

Rezervni sistemi, ne tehnološke fantazije

Evropa ameriškega tehnološkega sklada v kratkem času ne more zgraditi od začetka. Ekonomija obsega tega ne dopušča. Lahko pa zmanjša škodo, ki nastane, ko odpove ena raven dostopa.

Francija zdaj zahteva, da oblačnih storitev, certificiranih za občutljivo državno uporabo, tuje pravo ne sme prisiliti v izgubo nadzora (CER). Nemčija razvija openDesk, odprtokodni paket za pisarniško delo. Evropska komisija v svežnju za tehnološko suverenost problem obravnava skupaj: od čipov in umetne inteligence do oblaka in odprte kode (European Commission).

Finski raziskovalec kibernetske varnosti Mikko Hyppönen opozarja še na plast, ki jo razprava pogosto spregleda: tudi obrambna orodja lahko postanejo odvisnost. Požarni zid, nameščen v Helsinkih, ki podatke o grožnjah, virusne podpise in posodobitve programske opreme prejema iz tujine, še vedno potrebuje neprekinjen dostop do tuje storitve. Če se ta dotok prekine, obrambni sistem izgubi vid (YouTube / Hyppönen).

Praktični preizkus za evropsko bolnišnico, občino ali ministrstvo je preprost: če jutri zjutraj izgine en račun pri ponudniku, en sistem za preverjanje identitete ali en tok posodobitev, ali se lahko zaposleni še vedno prijavijo, odprejo evidence in komunicirajo? Institucije, ki lahko odgovorijo pritrdilno, imajo dejansko suverenost. Tiste, ki tega ne morejo, so najemniki, ki še niso preverili, kdo ima ključ.